調查怎樣做：覆蓋全港超過七成半證券交易量的機構
證監會（SFC）於 2026 年 11 月 2 日發出新聞稿，公布首份「大型機構 AI 就緒調查」（Large Firm AI Readiness Survey）的結果。調查於 2026 年 7 月至 8 月進行，對象為 20 間大型金融機構，連同其旗下共 78 間在香港的持牌法團。按新聞稿附註，樣本包括 12 間大型國際機構、5 間大型中國內地機構及 3 間大型網上零售券商；這批機構旗下持牌法團於 2026 年 6 月 30 日止六個月內，合共佔所有持牌法團申報證券交易量超過 75%。
有兩點需要留意：調查結果按機構自行申報整理並以匿名形式公布，並非證監會對系統或控制成效的獨立評估；新聞稿亦表明，結果不應視為全體持牌法團的代表性縮影。換言之，數字反映的是大型機構的狀況，中小企不宜直接照搬對照，但監管方向對各行各業都有參考價值。
主要發現：AI 遍佈前中後台，並與內部系統深度結合
調查顯示，受訪機構的 AI 應用正延伸至業務及監控職能，範圍涵蓋前台、中台及後台。95% 受訪機構預期未來 12 個月 AI 使用會進一步加快；90% 已將 AI 工具連接至內部系統，即 AI 已由輔助工具變成嵌入日常流程的一部分。
網絡防衛是另一個焦點：90% 受訪機構正使用或評估以前沿 AI 模型（frontier AI models）加強網絡防衛，並在更快的分析速度及更廣的偵測覆蓋方面見到成效。這一點值得所有企業留意——AI 既是新的風險來源，同時亦是實用的防禦工具。
代理式 AI 快速冒起：三成已用、兩成半試點
調查特別點名代理式 AI（agentic AI）的冒起。按證監會的定義，代理式 AI 指能夠自主決定及執行達致目標所需步驟的 AI，包括存取資訊或工具，並在獲授權下以有限的人類指示採取行動。結果顯示，30% 受訪機構已在業務營運中使用代理式 AI，25% 正在試點，自主程度及人類參與各有不同。
主要應用場景包括資料檢索、文件草擬、軟件開發、營運流程，以及部分與交易相關的活動。由「問答」走到「代你做事」，正是今輪調查最值得注意的變化，亦是管治挑戰的根源。
「負責任擴展」卡在哪裡
調查同時列出機構擴展 AI 時面對的實際障礙：技術整合、由試點走向生產應用、成本與業務價值不明確、數據限制，以及人才短缺。更關鍵的是，隨著應用場景增加，機構難以將管治框架及內部控制一致地延伸至整個 AI 組合，亦要在日趨自主的工作流程中，維持清晰的問責及人類監督。
證監會的取態：安全為先、以人為本、協作主導
證監會中介機構部執行董事 Dr Eric Yip 表示：「我們的監管方針是安全為先、以人為本、協作主導。隨著 AI 更趨自主，我們必須讓人類更穩固地坐在駕駛席上。」他補充：「擴展 AI 不止需要強大的模型和有前景的用例，還需要可靠的基建、穩健的數據、合適的專業知識，以及能與技術同步演進的管治。」
調查結果將引導證監會的 AI 監管方針，共四項重點：一、在 AI 改變客戶與機構互動方式之際保障投資者；二、在 AI 帶來新威脅及依賴時，加強網絡安全及營運韌性；三、確保 AI 管治有效，重新思考如何在日趨自主的工作流程中嵌入人類問責及監督；四、透過交流及協作建立知識和能力。
具體到控制要求，證監會表明會聚焦在 AI 業務流程中維持人類問責：目標清晰、就存取權限及獲授權行動設定明確界線，並具備有效的監察及介入機制。控制措施應與應用的權限及潛在影響成比例，而非要求人手審批每一個輸出或行動。
配套動向：行政總裁預告代理式 AI 補充指引
同日於香港金融科技週，據《The Standard》報道，證監會行政總裁 Julia Leung 表示，要求人手審視代理式 AI 的每一個中間步驟並不現實，故證監會將就高自主度應用制訂實務、以原則為本的補充指引，重點是在整個工作流程中維持人類問責及監督。她並提醒，代理式 AI 可以在多個步驟之間放大錯誤、作出未經授權的行動，甚至意外影響其他機構。
《The Standard》同時報道，證監會計劃推出網絡安全框架，為所有持牌機構訂立基線要求，並對風險較高的機構施加加強要求，以應對 AI 相關網絡威脅。企業宜密切留意後續公布。
企業可以點做：四個務實步驟
即使不是持牌機構，這份調查傳達的方向同樣適用於正在擴展 AI 的企業。參考證監會的信息，可以整理出四步：第一，盤點現有 AI 應用，標明每一項的自主程度及對外影響；第二，為較自主的應用設定清晰目標，並就存取權限及獲授權行為劃出明確界線；第三，建立監察及介入機制，令出錯時能夠即時停止及追查；第四，補齊數據、基建及人才等基礎，避免「只得模型、缺乏基建」的情況。
本文根據證監會公開資料及公開報道整理，不構成法律意見；持牌機構及受監管行業應就具體合規要求，諮詢證監會及專業顧問。